物聯(lián)網(wǎng)感知節(jié)點安全威脅自動檢測系統(tǒng)設(shè)計

藍土慶

（嶺南師范學(xué)院 網(wǎng)絡(luò)與信息技術(shù)中心，湛江 524048）

0 引言

物聯(lián)網(wǎng)技術(shù)快速發(fā)展，被廣泛的應(yīng)用到電子商務(wù)、金融等各個方面，積累了大量的信息資源，方便了人們的日常生活、工作、學(xué)習(xí)，在社會各行業(yè)中起著重要的作用[1,2]，但在此過程中也為物聯(lián)網(wǎng)信息資源的使用帶來一些隱患。對物聯(lián)網(wǎng)信息保護變得尤為重要，但由于物聯(lián)網(wǎng)絡(luò)的漏洞與黑客一直存在。對物聯(lián)網(wǎng)網(wǎng)絡(luò)信息安全造成極大的威脅，需要對物聯(lián)網(wǎng)中存在的威脅進行檢測[3,4]，然而傳統(tǒng)的安全威脅智能檢測系統(tǒng)存在的檢測效率低，漏洞檢測不全面等問題，針對上述問題，如何將系統(tǒng)中的威脅進行有效的檢測是當(dāng)下階段物聯(lián)網(wǎng)安全威脅智能檢測領(lǐng)域需要重點研究的課題[5,6]。

文獻[7]提出了基于白名單的物聯(lián)網(wǎng)感知節(jié)點安全檢測系統(tǒng)。運用環(huán)境封閉固定的特點，在物聯(lián)網(wǎng)服務(wù)器中建立白名單，在物聯(lián)網(wǎng)感知節(jié)點中安裝檢測模塊，對哈希值特征碼進行計算，將計算結(jié)果傳輸?shù)轿锫?lián)網(wǎng)服務(wù)器上，與白名單進行對比，可以檢測出威脅因素，該系統(tǒng)存在漏洞檢測效率較低的問題。文獻[8]提出一種基于DoS安全威脅智能檢測系統(tǒng)。通過對物聯(lián)網(wǎng)中的信息進行分割，獲取累積量特征，運用DoS對累積量進行安全威脅智能檢測。該系統(tǒng)存在漏洞檢測時間較長的問題。文獻[9]提出基于DoS物聯(lián)網(wǎng)安全威脅智能檢測系統(tǒng)。運用SDN控制器的集中控制特性，提取物聯(lián)網(wǎng)中的與DoS相關(guān)的六元組特征值信息，對特征值信息進行安全威脅智能檢測，該系統(tǒng)可檢出的漏洞數(shù)量較少。

針對上述問題，提出了一種新的網(wǎng)絡(luò)節(jié)點安全威脅檢測系統(tǒng)，實驗結(jié)果表明，所提系統(tǒng)能夠有效檢測網(wǎng)絡(luò)漏洞，檢測效率較高。

1 物聯(lián)網(wǎng)感知節(jié)點安全威脅智能檢測系統(tǒng)設(shè)計

1.1 系統(tǒng)總體結(jié)構(gòu)設(shè)計

對物聯(lián)網(wǎng)感知節(jié)點安全威脅智能檢測系統(tǒng)總框架進行設(shè)計，利用OVAL漏洞檢測器對系統(tǒng)進行漏洞檢測，將其檢測結(jié)果傳輸?shù)娇刂婆_，運用控制臺服務(wù)器上的CVE漏洞庫[10]將檢測結(jié)果上傳到系統(tǒng)管理模塊中，由系統(tǒng)管理員與檢測代理聯(lián)合掃描威脅，運用統(tǒng)一的漏洞庫，將其掃描的威脅信息通過可擴展標(biāo)記語言進行存儲。僅需更新具有威脅信息的可擴展標(biāo)記語言文件，系統(tǒng)就會隨之更新。

網(wǎng)絡(luò)安全漏洞檢測系統(tǒng)結(jié)構(gòu)如圖1所示。

圖1 漏洞檢測系統(tǒng)結(jié)構(gòu)

系統(tǒng)關(guān)鍵部分由控制臺和檢測代理構(gòu)成，在物聯(lián)網(wǎng)中，檢測控制臺能夠同時向多個裝有檢測代理并處理監(jiān)測中的主機傳輸節(jié)點安全威脅關(guān)聯(lián)信號，在各個代理主機上運行OVAL漏洞進行掃描，運行結(jié)束后，將對應(yīng)的漏洞掃描結(jié)果傳送給控制臺，把檢測出的各個CVE相對應(yīng)的漏洞結(jié)果，通過主機上標(biāo)準(zhǔn)的CVE漏洞庫發(fā)送給系統(tǒng)管理員，控制臺不用串行掃描其用戶平臺來獲取掃描威脅，這種方式節(jié)省了很多網(wǎng)絡(luò)資源，運用相同漏洞庫更新威脅信息中的可擴展標(biāo)記語言文件，與此同時系統(tǒng)也隨之更新。

根據(jù)OVAL漏洞檢測器，運用三個步驟來檢測漏洞：首先采集物聯(lián)網(wǎng)感知節(jié)點信息與設(shè)備配置信息；其次判斷該系統(tǒng)是否存在特殊的威脅漏洞與設(shè)施問題；最后輸出威脅檢測結(jié)果。以給定的OVAL驗證框架輸出節(jié)點安全威脅智能檢測結(jié)果，具體過程如圖2所示。

圖2 OVAL驗證框架檢測流程圖

設(shè)計節(jié)點安全威脅智能檢測系統(tǒng)時，需要在多個平臺上進行檢測代理，針對不同的檢測平臺設(shè)定兩種檢測代理，分別是Linux和Windows。這兩種檢測代理均采用QT與MFC的圖像用戶界面，利用C++編程語言編寫檢測代碼檢測網(wǎng)絡(luò)漏洞情況。通過顯示管理模塊、通信模塊以及網(wǎng)絡(luò)漏洞威脅掃描模塊來完成檢測代理。

物聯(lián)網(wǎng)系統(tǒng)設(shè)計圖像管理模塊主要復(fù)雜預(yù)設(shè)威脅掃描的參數(shù)，節(jié)點數(shù)據(jù)管理、節(jié)點安全威脅掃描的狀態(tài)顯示等。漏洞掃描過程中，運用設(shè)定的參數(shù)調(diào)整工作環(huán)境。

網(wǎng)絡(luò)通信模塊與控制臺直接連接，控制臺通過通信模塊運行威脅掃描，在啟動過程中，通信模塊處于C/S模式監(jiān)聽狀態(tài)，當(dāng)通過控制臺接收到指令時，通過調(diào)整指示函數(shù)為漏洞掃描開啟一個路線，結(jié)合Bind方法將所選取的接口進行捆綁，使Socket與本地一個終結(jié)點連接，運用指示函數(shù)Listen監(jiān)聽節(jié)點監(jiān)控設(shè)備接口的命令請求。指示函數(shù)ListenThread運用Accept對偵聽出的結(jié)果進行連接操作，構(gòu)建一個新的處理器，傳送新的命令，運用掃描函數(shù)對網(wǎng)絡(luò)感知節(jié)點進行威脅掃描，掃描完成后，根據(jù)相關(guān)函數(shù)將掃描結(jié)果上傳到控制臺。

在物聯(lián)網(wǎng)威脅掃描過程中，運用OVAL進行物聯(lián)網(wǎng)系統(tǒng)信息采集，設(shè)定文件中的漏洞測試的大體方向，在這些方向上分析系統(tǒng)當(dāng)前安全狀態(tài)，具體過程圖3所示。

圖3 物聯(lián)網(wǎng)系統(tǒng)信息測試流程

Windows與Linux系統(tǒng)原理不同，對系統(tǒng)采集的信息需要進行不同的測試，要確定網(wǎng)絡(luò)感知節(jié)點安全漏洞，將節(jié)點測試結(jié)果與OVAL驗證框架設(shè)定的文件做對比，來確定主機的安全威脅漏洞。在此過程中首先將文件中的definition項按順序輸入，每個definition對應(yīng)著一個漏洞的描述，其次分析各個definition中的criteria項，把以前測試結(jié)果文件中相關(guān)的全部測試提取出來，判斷測試出的結(jié)果真假性，通過operator運算符來判斷其真假，如若為真，則斷定存在安全漏洞，通過OVAL驗證框架來輸出其結(jié)果。

控制臺主要負責(zé)將威脅掃描結(jié)果進行整合，為了使操作者方便閱讀與整理，采用TCP/IP協(xié)議對系統(tǒng)所采用的檢測代理進行并行連接，使代理與代理之間可通信，系統(tǒng)也能夠同時處理多個檢測代理上傳的威脅掃描請求指令與接受多個檢測結(jié)果文件。檢測成功后將結(jié)果傳遞給檢測代理，并在控制臺端主機上備份，在控制臺上輸入IP地址可以顯示對應(yīng)的主機漏洞信息，運用系統(tǒng)相關(guān)處理模塊能夠?qū)崿F(xiàn)控制臺的功能，界面管理模塊主要運用Windows操作系統(tǒng)設(shè)定感知節(jié)點安全威脅檢測界面參數(shù)與系統(tǒng)控制指令，通過MFC的設(shè)定進行控制臺結(jié)構(gòu)程度的設(shè)計，使用戶操作更加簡單、便捷?？刂婆_結(jié)構(gòu)提供了特定的IP的主機掃描，以便于更好的顯示操作狀態(tài)與錯誤信息等功能。

通信模塊：對物聯(lián)網(wǎng)內(nèi)單個主機或全部主機同時發(fā)出掃描的指示，通過Socket安全套接字進行連接，運用TCP/IP協(xié)議完成數(shù)據(jù)信息的傳輸。

數(shù)據(jù)處理模塊：由檢測代理對控制臺傳輸CVE信號，把CVE漏洞庫當(dāng)作控制臺的信息庫，顯示詳細的漏洞信息，通過XML對信息進行存儲，運用msxml.dll調(diào)用微軟類庫對XML文件進行分解，生成樹型結(jié)構(gòu)，提供大量的查詢函數(shù)。

1.2 物聯(lián)網(wǎng)感知節(jié)點安全威脅智能檢測

分析物聯(lián)網(wǎng)感知節(jié)點可能存在的威脅漏洞，建立以威脅樹為形式的物聯(lián)網(wǎng)感知節(jié)點安全威脅模型，揭示了物聯(lián)網(wǎng)感知節(jié)點的安全隱患，通過其模型，運用迭代的方法從上到下對每個節(jié)點威脅值進行計算，獲得該模型的威脅評值，根據(jù)其威脅值對物聯(lián)網(wǎng)感知節(jié)點安全威脅進行智能檢測。

物聯(lián)網(wǎng)感知節(jié)點安全威脅建模方法具體分六個步驟：識別信息、建立樹形結(jié)構(gòu)圖、分解應(yīng)用程序、識別感知節(jié)點安全威脅、將威脅信息化、評估威脅、給出評估威脅等級、通過其評估結(jié)果獲取優(yōu)先級，運用解決方法對系統(tǒng)應(yīng)用設(shè)計流程進行修改，解決威脅，增強安全性。

物聯(lián)網(wǎng)感知節(jié)點安全威脅建模過程中，需要確定隱私信息，構(gòu)建體系結(jié)構(gòu)樹圖。根據(jù)其結(jié)構(gòu)圖設(shè)定物聯(lián)網(wǎng)感知節(jié)點安全威脅模型的目的和實現(xiàn)方式。設(shè)計一種樹形構(gòu)圖，可分解應(yīng)用程序，運用數(shù)據(jù)流圖將物聯(lián)網(wǎng)感知節(jié)點安全威脅建模分解為子系統(tǒng)，子系統(tǒng)分解成更小的子系統(tǒng)，運用威脅樹來進行威脅檢測，根據(jù)檢測的結(jié)果進行威脅風(fēng)險評估與解決方法設(shè)計。

物聯(lián)網(wǎng)感知節(jié)點安全威脅建模的威脅由硬件與軟件威脅構(gòu)成，硬件威脅包含兩項，分別是主動物理攻擊和被動攻擊；軟件威脅也包含兩項，分別是OS攻擊和通信網(wǎng)絡(luò)攻擊，其中OS攻擊含有系統(tǒng)接口攻擊和網(wǎng)絡(luò)病毒威脅。軟件威脅中應(yīng)當(dāng)著重考慮用戶隱私泄露情況，將用戶隱私視為網(wǎng)絡(luò)感知節(jié)點安全防護的重點。構(gòu)建物聯(lián)網(wǎng)感知節(jié)點安全威脅模型來對用戶隱私進行防護，具體過程如圖4所示。

對物聯(lián)網(wǎng)感知節(jié)點安全威脅模型進行量化評估，將其模型表示為威脅樹：

圖4 物聯(lián)網(wǎng)感知節(jié)點安全威脅系統(tǒng)模型

式(1)中：

3）c：V→2V代表節(jié)點υ∈V的全部感知信息組成的集合。

4）l：V→22υ→R代表邊e（i，j）∈E的權(quán)值，當(dāng)e∈Eu時，j代表單節(jié)點集；當(dāng)e∈En時，j代表多節(jié)點集。

5）f：V→T表示網(wǎng)絡(luò)節(jié)點υ∈V的威脅類型，當(dāng)該節(jié)點屬于威脅樹的內(nèi)部節(jié)點時，該節(jié)點類型屬于綜合節(jié)點，具體公式如下：

當(dāng)該節(jié)點為綜合節(jié)點時，該值為全部節(jié)點值中的最大值，具體公式為：

6）g：V→R用于評估節(jié)點υ∈V受到的威脅，具體公式如下：

根據(jù)其所受到的威脅值來對物聯(lián)網(wǎng)感知節(jié)點安全威脅進行智能檢測，具體過程如式(5)所示：

上式中：a代表威脅值大小。

2 實驗結(jié)果與分析

為驗證所提基于OVAL Schema的物聯(lián)網(wǎng)感知節(jié)點安全威脅智能檢測系統(tǒng)的綜合有效性，需進行一次實驗仿真，仿真實驗環(huán)境為：CPU為Intel（R）Celeron（R），2.6GHz，內(nèi)存為2.0GB,操作系統(tǒng)為Windows XP，實驗開發(fā)平臺Visual Studio2010，所有仿真實驗均在Visual Studio2010上進行。

為了證明所設(shè)計的安全威脅智能檢測系統(tǒng)的優(yōu)越性，將所設(shè)計的系統(tǒng)與文獻[8]提出的檢測系統(tǒng)與文獻[9]提出的檢測系統(tǒng)進行相同目標(biāo)主機臺數(shù)下的漏洞檢測時間（s）對比，對比結(jié)果如圖5所示。

圖5 檢測效率對比

在該實驗中，應(yīng)用線程池大小為20，即線程隊列的長度為20，分別對應(yīng)文獻[8]檢測系統(tǒng)、文獻[9]檢測系統(tǒng)與所提檢測系統(tǒng)在30、70、200、400臺主機中進行漏洞檢測；從圖5中可以看出，所提檢測系統(tǒng)的檢測效率明顯高于文獻[8]檢測系統(tǒng)與文獻[9]檢測系統(tǒng)。當(dāng)主機臺數(shù)較少時，可以一次性對全部主機進行檢測，但檢測效率沒有提高，當(dāng)主機臺數(shù)數(shù)量增多時，所提檢測系統(tǒng)的檢測效率明顯提高。文獻[8]檢測系統(tǒng)在主機臺數(shù)大于200臺時，已經(jīng)無法對漏洞進行檢測。

實驗過程中，選取文獻[8]檢測系統(tǒng)、文獻[9]檢測系統(tǒng)與所提檢測系統(tǒng)在三種漏洞類型下進行漏洞檢測效果對比，實驗結(jié)果如表1所示，表1中ZJ為主機臺數(shù)，單位為臺，用t來表示；LD代表漏洞類型；SQL為SQL注入漏洞；JB為腳本執(zhí)漏洞；XSS為XSS跨站腳本攻擊；W8為文獻[8]檢測系統(tǒng)；W9為文獻[9]檢測系統(tǒng)；ST為所提檢測系統(tǒng)。

由表1可以看出，隨著主機臺數(shù)不斷增加，所提檢測系統(tǒng)檢測出的漏洞為三種檢測系統(tǒng)中效果最好的，三種類型的網(wǎng)絡(luò)漏洞均能全部檢測出來，而文獻[9]檢測系統(tǒng)只能檢測出SQL漏洞及JB漏洞，當(dāng)主機臺數(shù)為60臺時，文獻[9]檢測系統(tǒng)已經(jīng)檢測不出XSS漏洞，主要原因是該系統(tǒng)提取六元組特征值信息，對其進行漏洞檢測，由于特征值復(fù)雜多校，所有檢測過程中難升級，較為繁瑣，在主機臺數(shù)少的情況下，可以檢測漏洞信息，當(dāng)主機臺數(shù)增多，文獻[9]檢測系統(tǒng)帶不動較多數(shù)據(jù)，檢測不出漏洞。

表1 三種不同檢測系統(tǒng)漏洞檢測結(jié)果對比

3 結(jié)論

針對傳統(tǒng)安全威脅智能檢測系統(tǒng)存在的一系列問題，提出一種基于OVAL Schema的物聯(lián)網(wǎng)感知節(jié)點安全威脅智能檢測系統(tǒng)，實驗結(jié)果表明，所設(shè)計的檢測系統(tǒng)與傳統(tǒng)的檢測系統(tǒng)相比，檢測漏洞數(shù)量多、檢測時間短，為解決當(dāng)前物聯(lián)網(wǎng)網(wǎng)絡(luò)節(jié)點安全威脅提供了一種有效的解決方案，具有實際應(yīng)用價值。